Datenschutz in der digitalen Gesundheitsversorgung

Nein. Für notwendige Verarbeitungen im Rahmen der Behandlung kommen andere Rechtsgrundlagen in Betracht. Zusätzliche Zwecke oder bestimmte Anwendungen können eine Einwilligung erfordern. Informationspflichten bestehen unabhängig davon.

Ein Dienstleister verarbeitet personenbezogene Daten im Auftrag und nach Weisung Ihrer Einrichtung, beispielsweise bei bestimmten Hosting- oder IT-Leistungen. Dann ist eine Vereinbarung zur Auftragsverarbeitung erforderlich. Nicht jede Zusammenarbeit mit einem anderen Unternehmen fällt darunter.

Nein. Zusätzlich sind tatsächliche Datenflüsse, Zugriffsrechte, Unterauftragnehmer und Verträge zu prüfen. Je nach Anwendung gelten besondere Anforderungen des Gesundheitswesens. Auch Supportzugriffe aus anderen Ländern können relevant sein.

Nur wenn die konkrete Verarbeitung rechtlich zulässig und organisatorisch sowie technisch abgesichert ist. Die freie Verfügbarkeit eines KI-Angebots ist keine Freigabe für Patientendaten. Prüfen Sie den Einsatz vorab und halten Sie die internen Nutzungsregeln ein.

Nein. Bei einer Pseudonymisierung werden Identifikationsmerkmale beispielsweise durch eine Kennnummer ersetzt. Ist eine Zuordnung mithilfe zusätzlicher Informationen möglich, bleiben die Daten personenbezogen.

Melden Sie den Vorfall sofort intern, begrenzen Sie mögliche Folgen und dokumentieren Sie den Ablauf. Die verantwortliche Stelle bewertet das Risiko. Eine Meldung an die zuständige Aufsichtsbehörde ist grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erforderlich, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten Betroffener besteht. Bei voraussichtlich hohem Risiko sind grundsätzlich auch die betroffenen Personen unverzüglich zu informieren.

Nicht immer. Gesetzliche Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen. Prüfen Sie das Anliegen anhand der betroffenen Daten und beantworten Sie es nachvollziehbar.

Nein. Ein Nachweis bezieht sich auf einen bestimmten Prüfgegenstand und Geltungsbereich. Auch die Einrichtung muss den konkreten Einsatz, ihre Einstellungen und ihre organisatorischen Abläufe prüfen.